whoami 与 565 端口
565 的登记名是 whoami，属于身份查询类服务的早期登记，没有公开协议文档。这里要特别注意同名混淆：系统里的 whoami 命令是本地执行的，只打印当前有效用户名，完全不联网，与 565 端口没有任何关系；网络上遇到这个名字不代表本机在对外提供身份查询。
基本信息
| 服务名 | whoami |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 易混淆点 | whoami 命令为本地执行，不使用网络 |
| 其他同名命令 | who/w、id 均为本地命令 |
| 公开实现 | 无资料 |
什么情况下会遇到
- 端口清单里出现 whoami，有人误以为系统在对外暴露身份查询接口
- 安全扫描报告该端口开放，需要快速给出澄清与处置结论
- 排查权限问题时需要区分本地命令与网络服务
- 老系统里存在服务端身份查询功能，需要确认是否仍在运行
- 合规检查要求说明端口命名与实际服务的关系
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 仅本地执行 whoami 命令有输出 | 与网络无关 | 无需处置，澄清即可 |
| 565 端口确实有监听 | 存在实际服务 | 以进程为准定性并评估风险 |
| 监听进程可远程查询账号信息 | 信息暴露 | 限源或停用，避免账号枚举 |
| 端口开放但无任何流量 | 历史残留 | 确认后停用 |
| 两端跨网段且有会话 | 需核实用途 | 查发起方与业务归属 |
四步定位
四步定位
whoami; id # 本地身份查询，与端口无关
ss -lntup 'sport = :565' # 确认是否真有网络监听
sudo lsof -i :565 -P -n # 有监听时的进程归属
ss -tnp 'sport = :565 or dport = :565' # 会话视图
getent services 565/tcp # 本地登记名来源
sudo grep -rnw 565 /etc 2>/dev/null # 配置引用核对把本地命令当成网络服务是端口排查中的常见误判：whoami、hostname、id、pwd 这一类都是本地命令，不监听任何端口。看到这类名字作为服务名时，应把它当作注册表条目而非在跑的服务。
真正需要警惕的是「可远程查询系统信息」的服务：它们能帮助攻击者枚举账号与主机角色。若确有这样的服务存在，应优先限制来源或直接停用，而不是仅调整端口。
澄清类结论同样要写进台账：注明「该名字来自注册表，本地命令与网络端口无关，已核实无监听」。这样后续审计遇到同样条目可以直接引用，不必重复论证。